URL: https://www.opennet.me/cgi-bin/openforum/vsluhboard.cgi
Форум: vsluhforumID6
Нить номер: 18055
[ Назад ]
Исходное сообщение
"'Плавающая' проблема с марштуризацией"
Отправлено IlyaR , 20-Янв-09 19:59 
Коллеги, добрый вечер!
Есть странная проблема - почему-то (!) перестала работать отлаженная схема с двумя провайдерами, т.е. со вчерашнего дня пинги ходят со значительными потерями, причем ситуация меняется в течении дня - то лучше, то хуже. Я включил отладку (debug ip packet, debug ip error) и вот какие странные сообщение идут в протоколе

IP: tableid=0, s=192.168.10.2 (FastEthernet0/0), d=195.239.111.3 (Vlan3), routed via FIB
IP: s=192.168.10.2 (FastEthernet0/0), d=195.239.111.3 (Vlan3), len 60, dispose ip.noroute

На сегодняшний день, самый главный для меня вопрос - КТО "сообщает" моей циске, что noroute (dispose ip.noroute)? Или-же она сама вдруг это стала решать? Сама конфигурация довольна проста и логична - есть два провайдера, мы статически NATим внутренние адреса и, в зависимости от адреса отправителя, перенаправлям пакет одному или другому провайдеру.
Вот мой конфиг:

interface FastEthernet0/0
description 'Моя локалка'
ip address 192.168.7.1 255.255.255.0 secondary
ip address 192.168.10.1 255.255.255.0
no ip redirects
no ip unreachables
no ip proxy-arp
ip nat inside
ip virtual-reassembly
ip policy route-map 2isp
duplex auto
speed auto
no cdp enable
!

interface Vlan3
description Провайдер #1
ip address x.x.x.2 255.255.255.252
ip access-group from_one in
ip access-group to_one_out out
no ip redirects
no ip unreachables
no ip proxy-arp
ip nat outside
ip virtual-reassembly
!
interface Vlan5
description Провайдер #2
ip address y.y.y.2 255.255.255.252
ip access-group from_two in
ip access-group to_two out
no ip redirects
no ip unreachables
no ip proxy-arp
ip nat outside
ip virtual-reassembly
!
ip classless
! маршрут по-умолчанию на провайдера #1
ip route 0.0.0.0 0.0.0.0 x.x.x.1
!
! NAT в адреса сетей, выделенный провайдерами
! фактически, это один и тот-же сервер, с основным адресом
! и алиасом к нему
ip nat inside source static 192.168.10.2 x.x.x.33
ip nat inside source static 192.168.7.2 y.y.y.77
!
! часть внутренних адресов, которая NATится в адреса провайдера 1
access-list 120 permit ip 192.168.10.0 0.0.0.255 any
!
! другая часть внутренних адресов, которая NATится в адреса провайдера 2
access-list 121 permit ip 192.168.7.0 0.0.0.255 any
! выделили внутренние адреса
access-list 122 permit ip 192.168.10.0 0.0.0.255 192.168.10.0 0.0.0.255
access-list 122 permit ip 192.168.7.0 0.0.0.255 192.168.7.0 0.0.0.255
!
! "отключили" route-map для локальных адресов, когда они общаются друг с другом
route-map 2isp deny 10
match ip address 122
!
! если пакет пришел из подсети 192.168.7.0, то ПРИНУДИТЕЛЬНО отправляем его к провайдеру 2
route-map 2isp permit 30
match ip address 121
set interface Vlan5
set ip next-hop y.y.y.1
!

Содержание
Сообщения в этом обсуждении
"'Плавающая' проблема с марштуризацией"
Отправлено sh_ , 20-Янв-09 20:31 
А можно посмотреть sh ip route  и убрать set interface Vlan5?
"'Плавающая' проблема с марштуризацией"
Отправлено IlyaR , 20-Янв-09 20:46 
set interface убирал, ситуация абсолютно не изменяется, т.е. оно то работает, то нет. И даже более того, сейчас я убрал с итерфейса fe0/0 route-map и вот, даже в таком режиме, т.е. когда ВЕСЬ траффик идет по-умолчанию на одного провайдера все равно есть эта ошибка. Причем (!) если пингать не с сервера, а с самой циски - все работает

>А можно посмотреть sh ip route  и убрать set interface Vlan5?

cmain#sh ip route

Gateway of last resort is x.x.x.1 to network 0.0.0.0

     x.x.72.0/24 is variably subnetted, 2 subnets, 2 masks
C       x.x.72.12/30 is directly connected, Vlan3
S       x.x.72.32/28 is directly connected, Null0
C    192.168.10.0/24 is directly connected, FastEthernet0/0
S    192.168.157.0/24 [1/0] via 10.6.31.1
     y.y.0.0/24 is variably subnetted, 2 subnets, 2 masks
S       y.y.0.2/32 [1/0] via 213.148.0.225
C       y.y.0.224/30 is directly connected, Vlan5
     y.y.1.0/32 is subnetted, 1 subnets
S       y.y.1.98 [1/0] via 213.148.0.225
     y.y.6.0/29 is subnetted, 1 subnets
S       y.y.6.176 is directly connected, Null0
S*   0.0.0.0/0 [1/0] via x.x.x.1


"'Плавающая' проблема с марштуризацией"
Отправлено GolDi , 21-Янв-09 11:30 
>[оверквотинг удален]
>masks
>S       y.y.0.2/32 [1/0] via 213.148.0.225
>C       y.y.0.224/30 is directly connected, Vlan5
>
>     y.y.1.0/32 is subnetted, 1 subnets
>S       y.y.1.98 [1/0] via 213.148.0.225
>     y.y.6.0/29 is subnetted, 1 subnets
>S       y.y.6.176 is directly connected, Null0
>
>S*   0.0.0.0/0 [1/0] via x.x.x.1

Что-то вы не всё показываете.
Откуда это
  y.y.6.176 is directly connected, Null0

"'Плавающая' проблема с марштуризацией"
Отправлено IlyaR , 21-Янв-09 13:36 
> Что-то вы не всё показываете.

по старой привычке, только "в части касающейся" :)

> Откуда это
>  y.y.6.176 is directly connected, Null0

Это сетка интерфейса, который идет к провайдеру #2. Т.е. если я получаю какие-то пакеты,
предназначенные для этой сети, но НЕ для адреса моего интерфейса, то сливаю их в Null

ip route y.y.6.176 255.255.255.248 Null0

"'Плавающая' проблема с марштуризацией"
Отправлено IlyaR , 21-Янв-09 13:50 
Блин, давно делал, забыл уже и попутал немного :(

>>  y.y.6.176 is directly connected, Null0

Это сетка выделенная провайдером #2 для меня, т.е. если приходит что-то на адрес, соответствующий адресу "моей" сети целиком, то это все направляется в пустоту.
>ip route y.y.6.176 255.255.255.248 Null0

Прикладные адреса (для примера)
y.y.6.177, y.y.6.178


"'Плавающая' проблема с марштуризацией"
Отправлено den68 , 22-Янв-09 00:15 
no ip route y.y.6.176 255.255.255.248 Null0
ip route y.y.6.176 255.255.255.248 Null0 100


"'Плавающая' проблема с марштуризацией"
Отправлено IlyaR , 23-Янв-09 10:31 
>ip route y.y.6.176 255.255.255.248 Null0 100

сделал. легче не стало :(

Вот свеженький лог
IP: s=192.168.7.2 (FastEthernet0), d=88.212.196.101 (Vlan5), len 44, dispose ip.noroute
TCP src=22379, dst=80, seq=1671886866, ack=0, win=65535 SYN

В среду вечером, я поменял железку (2811->1700), "оторвал" все внешние каналы, затем убрал из настроек route-map, потом включал каналы по-одному и ситуация опять-таки не менялась, т.е. ошибки как были, так и есть. В этот момент, т.е. когда я экспериментировал, я обнаружил, что аналогичное сообщение появляется в протоколе, когда интерфейс административно "поднят", а на физическом уровне нет. Т.е. Vlan2 был поднят, а "хвост" из него выдернут. Может, моя циска считает, что у нее на физическом уровне пропадает соединение? Но записей об этом в протоколе нет. Я вот думаю, а рассогласование 100Mb/Full Duplex с оборудованием провайдеров может давать такой эффект?
И еще один "странный" момент - когда я пингую с самой циски, то _никаких_ потерь нет.


"'Плавающая' проблема с марштуризацией"
Отправлено den68 , 23-Янв-09 16:48 
>а рассогласование 100Mb/Full Duplex с оборудованием провайдеров может давать такой >эффект?

Покажи:
sh interfaces FastEthernet x/x | i errors

потом ресет:
clear counters FastEthernet x/x

потом опять предыдущую команду минут через 10-20 ...

"'Плавающая' проблема с марштуризацией"
Отправлено IlyaR , 23-Янв-09 17:05 
>Покажи:
>sh interfaces FastEthernet x/x | i errors
>потом ресет:
>clear counters FastEthernet x/x

Там все чисто
     0 input errors, 0 CRC, 0 frame, 0 overrun, 0 ignored
     0 output errors, 2 interface resets
     0 output buffer failures, 0 output buffers swapped out

что-то я туплю уже конкретно :( Имхо трабл связан с cef'ом, но объяснить внятно это не могу. Нашел я тут еще одну занятную закономеронсть - когда у меня не могут "пройти" пинги, то по команде sh ip int vlan3 я вижу
IP route-cache flags are dispose ip.noroute

Когда-же ситуация "рассасывается" и пинги начинают идти, то в состоянии интерфейса мы видим
IP route-cache flags are Fast, CEF

коллега, а может собака покапалась именно здесь?

"'Плавающая' проблема с марштуризацией"
Отправлено IlyaR , 23-Янв-09 20:40 
коллега, все еще интереснее :) я привел конфигурацию к "азбучной", т.е. отключил все внешние каналы кроме одного, вырезал динамический NAT (оставил только 2 статических), убрал все упоминания про route-map, в маршрутизации оставил ТОЛЬКО маршрут по-умолчанию и все равно, ошибка осталась. Т.е. эта железяка упорно пишет

TCP src=20814, dst=443, seq=3030484512, ack=0, win=65535 SYN IP: s=192.168.10.2 (FastEthernet0), d=80.92.249.39 (Vlan3), len 44, dispose ip.noroute

есть идеи? У меня пока кончились, пойду домой.....

"'Плавающая' проблема с марштуризацией"
Отправлено den68 , 25-Янв-09 22:28 

>есть идеи? У меня пока кончились, пойду домой.....

no ip cef ?
и посмотреть на поведение ..

"'Плавающая' проблема с марштуризацией"
Отправлено IlyaR , 26-Янв-09 09:57 
>no ip cef ?
>и посмотреть на поведение ..

а никак, т.е. поведение не изменяется, ошибки как были, так и есть


"'Плавающая' проблема с марштуризацией"
Отправлено IlyaR , 26-Янв-09 13:01 
если включить отладку маршрутизации (debug ip routing), то в протоколе вот такие занятные сообщения
RT: NET-RED 0.0.0.0/0

имхо это означает, что маршрут по-умолчанию недоступен? Но ведь интерфейс-то не падал! Как такое может быть? Я конечно сразу-же проверил, может треккер какой-нибудь включен :)

cmain#sh track
cmain#sh ip route track-table
cmain#

естественно, все пусто, т.е. никаких трекеров, которые могли-бы генерировать данное сообщение нет, но, тем не менее, проблема с маршрутизацией есть

"'Плавающая' проблема с марштуризацией"
Отправлено den68 , 26-Янв-09 18:38 
>но, тем не менее, проблема с маршрутизацией есть

Начни с простого, попробуй версию иоса поменять ...


"'Плавающая' проблема с марштуризацией"
Отправлено IlyaR , 26-Янв-09 20:04 
>Начни с простого, попробуй версию иоса поменять ...

гы :) это я сделал до того, как написал сюда....

Коллега, хотите посмеяться? Оно заработало, просто так, само по-себе - раз! и работает...
Я, конечно, в процессе поиска добавил на каждый из внешних интерфейсов команду ip route-cache flow, но, имхо, это не должно было повлиять ... Я предполагаю, что тут не обошлось без провайдера, но он стоит на своем - ничего не трогали и не меняли... В общем, буду ждать повторения ситуации.


"'Плавающая' проблема с марштуризацией"
Отправлено IlyaR , 27-Янв-09 14:05 
Ну что, оно опять не работает :( Т.е. вчера в 16:00 начало работать и сегодня, в 13:00 также молча перестало.

Коллеги!
Подскажите, кто что знает, а? Вопросы простые :)
1) Что означает  RT: NET-RED 0.0.0.0/0
2) Что означает IP: s=192.168.10.2 (FastEthernet0), d=213.208.165.30 (Vlan3), len 44, dispose ip.noroute
3) И как (!) циска решает, что в данный момент у нее не рабоает роутинг по-умолчанию, если интерфейс не падал?


"'Плавающая' проблема с марштуризацией"
Отправлено IlyaR , 29-Янв-09 10:48 
В общем "странная, плавающая" проблема успешно разрешена совместными усилиями с моим провайдером (ему отдельное спасибо!). Итак, в чем суть проблемы - у меня стояло ограничение на число записей в таблице NAT:

ip nat translation max-entries 300

соответственно, когда эта таблица переполнялась, то пакеты не пропускались маршрутизатором, при этом, если включить debug ip error, в протокол выводились сообщения следующего вида

IP: s=192.168.10.2 (FastEthernet0/0), d=195.239.111.3 (Vlan3), len 60, dispose ip.noroute

и _кажется_, что проблема в маршрутизации, но, если включить отладку NAT

access-list 50 permit host 192.168.7.2
debug ip nat 50 detail

то мы получаем полную картину происходящего и явно указанную причину проблемы

NAT: administratively-defined entry limit reached (600)

Остается только увеличить размер таблицы и все оживает :)

"'Плавающая' проблема с марштуризацией"
Отправлено den68 , 31-Янв-09 02:31 

>стояло ограничение на число записей в таблице NAT:

=8-O неожиданно ... :)